Miks kustutatud WireGuard peer pärast taaskäivitust tagasi tuleb

Identiteet kaob töötavast liidesest ja muudatus näib tehtud. Pärast teenuse taaskäivitamist on see tagasi, mis näib, nagu WireGuard ignoreeriks käsku. Tegelikult juhtus midagi lihtsamat: alglaadimise konfiguratsioon sisaldab peer'i endiselt.

Seda loendit hoiavad kaks olekut. Tühistamine on tõeline alles siis, kui mõlemad selle kaotavad.

Mida wg set tegelikult muudab

Käsk wg set wg0 peer <public-key> remove muudab kerneli sees töötavat liidest. See ei kirjuta kettale midagi. Konfiguratsioonifail, NetworkManageri profiil või ruuteri salvestatud olek jäävad puutumata. See on projekteeritud nii, mitte viga.

See eraldamine on tahtlik, sest tööriist ei tea, kellele liides kuulub. Tööajal käivitatav käsk peab olema ohutu liidese vastu, mida haldab miski muu. See ei saa arvata, kus püsiv koopia asub. Tagajärg on lihtne sõnastada: tööajal tehtud eemaldamine on oma ülesehituselt ajutine.

Nii tuleb peer järgmisel taaskäivitusel tagasi ja tuleb tagasi oma algsete lubatud prefiksitega. Kõik, mis selle kaudu marsruuditakse, luuakse samuti uuesti. Nõnda võib väidetavalt tühistatud identiteet pärast uuesti laadimist jõuda oma varasematesse sihtkohtadesse. Miski tööaja väljundis ei olnud kedagi hoiatanud.

Leidke kirjutaja enne faili muutmist

Liidesel on omanik. See võib olla faili lugev wg-quick, profiili rakendav NetworkManager, ruuteri enda liidese konfiguratsioon või konteineri sisenemispunkt, mis loob liidese käivitamisel uuesti. Faili muutmine, mida omanik kunagi ei loe, ei anna mingit püsivat muudatust.

Alustage töötavast liidesest ja tehke kindlaks avalikud võtmed, sest nimed ja aadressid on nõrgemad identifikaatorid kui võti ise. Seejärel võrrelge seda loendit salvestatud konfiguratsiooniga, mida omanik tegelikult loeb.

wg show wg0 peers
wg show wg0 allowed-ips
systemctl status wg-quick@wg0 --no-pager
ls -l /etc/wireguard

Elav liides, mille peer-loend ja faili sisu ei klapi, ongi kogu diagnoos. Alglaadimisel võidab salvestatud konfiguratsioon ja tööaja olek kaotab. Võrrelge neid enne, kui kumbagi muudate.

SaveConfigi lõks

wg-quick lisab voldi, mis püüab kinni need, kes faile käsitsi muudavad. Kui SaveConfig on lubatud, kirjutab selle dokumenteeritud seiskamiskäitumine praeguse tööaja oleku konfiguratsioonifaili peale.

See pöörab püsivuse tavapärase suuna ümber. Eemaldate peer'i failist, siis teenus peatub. Töötav olek kirjutatakse teie muudatuse peale ja taastab peer'i, mille just kustutasite.

Seetõttu on järjekord oluline: muutke faili, kui liides on maas, või keelake SaveConfig enne muutmist, seejärel tõstke liides uuesti üles ja kinnitage, mis laaditi. Käsitsi tehtud muudatus liidese töötamise ajal on võidujooks seiskamiskirjega.

Muutke mõlemat olekut, seejärel laadige uuesti

Tööajal eemaldage peer võtme järgi. Salvestatud konfiguratsioonis eemaldage sama plokk omaniku toetatud toimingu kaudu, mitte seda ümbritsevat muutes.

Seejärel vaadake üle, mida peer kandis. Marsruuditud võrk, mis kuulus tühistatud identiteedile, tuleks teadlikult ümber määrata või eemaldada, mitte lasta järgmisel muudetaval peer'il seda vaikselt pärida.

Hoidke taastetee avatud, kui lüüs kannab ka teie haldusjuurdepääsu. Taaskäivitus, mis eemaldab vale peer'i, on ise tekitatud katkestus. Sama kehtib taaskäivituse kohta, mis eemaldab vale marsruudi.

Kuidas näeb välja läbitud test

Laadige teenus uuesti või taaskäivitage see, seejärel lugege peer-loend uuesti. Vana võti peab puuduma ja peer'id, mida tahtsite hoida, peavad endiselt olemas olema ja töötama.

wg show wg0 peers
wg show wg0 allowed-ips
sudo wg-quick down wg0 && sudo wg-quick up wg0
wg show wg0 peers

Kus olukord lubab, kinnitage, et vana identiteet ei jõua enam oma varasemate ressurssideni. Korras liidese loend enne taaskäivitust on pool testi. Teine pool on see, mida identiteet pärast seda veel teha suudab.

Kui mõni haldur taastab peer'i ikka ja jälle, lõpetage madala taseme eemaldamise kordamine. Parandage loend, mida see kirjutaja loeb, sest seni on iga taaskäivitus veel üks kutse identiteedil uuesti ilmuda.